Spring framework 是Spring 里面的一个基础开源框架，其目的是用于简化 Java 企业级应
原创
2023-07-05 15:48:30
429阅读
目录一、Spring Security OAuth2 远程命令执行漏洞（CVE-2016-4977）1、漏洞描述2、影响版本3、环境搭建4、漏洞复现4.1、漏洞验证4.2、编写POC4.3、执行payload4.4、反弹shell二、Spring Web Flow远程代码执行漏洞(CVE-2017-4971)1、漏洞描述2、影响版本3、触发条件4、漏洞复现三、Spring Data Rest远程
最开始时，我们开发java项目时，所有的代码都在一个工程里，我们把它称为单体架构。
原创
2023-07-05 15:48:14
773阅读
目录一、前言二、端点描述三、漏洞发现四、漏洞利用五、安全措施六、安全建议 一、前言Actuator 是 Spring Boot 提供的服务监控和管理中间件。当 Spring Boot 应用程序运行时，它会自动将多个端点注册到路由进程中。而由于对这些端点的错误配置，就有可能导致一些系统信息泄露、XXE、甚至是 RCE 等安全问题。二、端点描述官方文档对每个端点的功能进行了描述。路径描述/autoc
转载
2023-09-14 14:04:07
605阅读
一、SpringBoot env 获取* 敏感信息 当我们直接访问 springboot 站点时,可以看到某些 password 字段填充了*通过${name} 可以获取明文字段
2. 配置不当导致敏感信息泄露(password 打星号,而 pwd 没有打星号)
参考 https://mp.w
Kubernetes漏洞和漏洞利用（CVE）
在软件开发中，CVE（Common Vulnerabilities and Exposures，通用漏洞和暴露）是一种用来标记已知漏洞的标准化方法。在Kubernetes（K8S）中，也会出现各种漏洞，如果不及时处理，会对系统安全造成威胁。在本文中，我将向你介绍如何处理Kubernetes中的CVE，以确保系统的安全。
在处理Kubernetes
CVE 的英文全称是“Common Vulnerabilities & Exposures”公共漏洞和暴露。CVE就好像是一个字典表，为广泛认同的信息安全漏洞或者已经暴露出来的弱点给出一个公共的名称。使用一个共同的名字，可以帮助用户在各自独立的各种漏洞数据库中和漏洞评估工具中共享数据，虽然这些工具很
转载
2019-05-15 18:18:00
185阅读
2评论
昨天Spring发布Spring Cloud Function 3.1.7和3.2.3以解决CVE-2022-22963：Spring 表达式资源访问漏洞[1]。在 Spring Cloud Function 版本 3.1.6、3.2.2 和更旧的不受支持的版本中，当使用路由功能时，用户可以借助于特殊的SpEL访问本地资源，漏洞级别为：Medium。Sp
原创
2022-04-06 11:02:00
205阅读
CVE编号 CVE-2023-34050 利用情况 暂无 补丁情况 官方补丁 披露时间 2023-10-18 漏洞描述 2023年10月 Spring官方披露 CVE-2
一、概述3月底Spring Framework爆出严重级别的安全漏洞，该漏洞允许黑客进行任意命令执行。在3月31日Spring Framework官方发布了5.3.18以及5.2.20修复了该漏洞，随后该漏洞编号为CVE-2022-22965，这个漏洞也是先发布修复版本，后分配CVE编号的。从官网可知该漏洞存在的条件：使用JDK9及以上版本使用Apache Tomcat作为容器使用了传统的WAR包
原创
精选
2022-04-08 15:44:28
7544阅读
点赞
### 什么是CVE漏洞？
CVE漏洞指的是“Common Vulnerabilities and Exposures”的缩写，是一种标准，用来命名公开发现的安全漏洞和漏洞公开日期。CVE漏洞通常会被挂在漏洞数据库中，供开发者和安全研究人员参考。在软件开发中，发现并修复CVE漏洞是至关重要的，以保护用户信息和系统安全。
### 实现CVE漏洞的流程
实现CVE漏洞通常需要分为以下几个步骤：
CVE的英文全称是Common Vulnerabilities and Exposures公共漏洞和风险。CVE就好象是一个字典，为大家广泛认同的信息安全漏洞或者已经暴露出来的弱点给出一个公共的名称。由于漏洞的本质特性，导致每个漏洞都有许多特征，在MITRE还没有创建CVE之前，不同的厂商在对同一个漏洞进行称谓时，各厂商各抓住漏洞的某一特征，使用完全不同的名称
Spring Cloud 突发漏洞Log4j2 的核弹级漏洞刚告一段落，Spring Cloud Gateway 又突发高危漏洞，又得折腾了。。。2022年3月1日，Spring官方发布了关于Spring Cloud Gateway的两个CVE漏洞，分别为CVE-2022-22946与CVE-2022-22947：版本/分支/tag： 3.4.X问题描述Spring Cloud Gate
沉寂了两天后，Spring官方终于对坊间存在的漏洞进行了公开回应，确实存在RCE漏洞。该漏洞编号为CVE-2022-22965: Spring Framework RCE via Data Binding on JDK 9+，漏洞级别：Critical。详细描述为：在JDK 9+上运行的Spring MVC或Spring WebFlux应用程序可能容易通过数据绑定进行远程代码执行（RCE）。该漏洞
转载
2022-04-06 11:01:34
881阅读
# 使用 Docker 复现 CVE 漏洞的指南
## 介绍
在信息安全领域，复现 CVE（公共漏洞和暴露）是研究和修复漏洞的重要步骤。Docker 提供了一个轻量级的虚拟化平台，可以快速创建和管理容器。因此，Docker 是复现 CVE 漏洞的理想选择。本文将引导你通过一系列步骤，利用 Docker 复现 CVE 漏洞。
## 流程概览
下面是复现 CVE 漏洞的步骤流程表：
| 步骤
关于RHEL的CVE和Oracle Linux的CVE
原创
2021-10-29 13:41:01
388阅读
CVE-2016-5338http://www.openwall.com/lists/oss-security/2016/06/07/3
原创
2017-06-07 14:47:13
568阅读
K8S的CVE漏洞编号
作为一名开发者，在使用Kubernetes（K8S）进行应用程序开发和部署时，我们需要密切关注CVE（Common Vulnerabilities and Exposures）漏洞编号，以确保系统的安全性。CVE漏洞是由MITRE组织发布的一种公共漏洞命名标准，帮助用户追踪、定位和解决不同软件和系统的漏洞问题。
整体流程
为了帮助小白了解如何实现CVE漏洞编号，在这里
在进行CVE漏洞复现之前，我们需要了解什么是CVE漏洞以及如何找到和利用这些漏洞。CVE即“公共漏洞与暴露编号”，是一种独特的标识符，用于标识公开的计算机安全漏洞和相关的信息。复现CVE漏洞的过程涉及到找到漏洞、分析漏洞、编写利用代码和测试漏洞是否成功被利用等步骤。
下面是进行CVE漏洞复现的一般流程：
| 步骤 | 描述
